iptables

在早期的Linux系统中，默认使用的是iptables防火墙管理服务来配置防火墙。尽管新型的fierwalld防火墙管理服务已经被投入使用多年，但是大量的企业在生产环境中依然出于各种原因而继续使用iptables。

策略与规则链

防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为(即放行或阻止)。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。

一般而言，防火墙策略规则的设置有两种:

一种是“通”(即放行),

一种是 “堵”(即阻止)。

当防火墙的默认策略为拒绝时(堵)，就要设置允许规则 (通),否则谁都进不来;如果防火墙的默认策略为允许时，就要设置拒绝规则，否则谁都能进来，防火墙也就失去了防范的作用。

iptables 服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下:
➢在进行路由选择前处理数据包( PREROUTING);
➢处理流入的数据包( INPUT );
➢处理流出的数据包( OUTPUT );
➢处理转发的数据包( FORWARD );
➢在进行路由选择后处理数据包( POSTROUTING )。

一般来说，从内网向外网发送的流量一般都是可控且良性的，因此我们使用最多的就是INPUT规则链，该规则链可以增大黑客人员从外网人侵内网的难度。比如在您居住的社区内，物业管理公司有两条规定:禁止小商小贩进入社区;各种车辆在进人社区时都要登记。显而易见，这两条规定应该是用于社区的正门的(流量必须经过的地方)，而不是每家每户的防盗门上。根据前面提到的防火墙策略的匹配顺序，可能会存在多种情况。比如，来访人员是小商小贩，则直接会被物业公司的保安拒之门外，也就需再对车辆进行登记。如果来访人员乘坐辆汽车进人社区正门，则“禁止小商小贩进人社区”的第一条规则就没有被匹配到，因此按照顺序匹配第二条策略，即需要对车辆进行登记。如果是社区居民要进入正门，则这两条规定都不会匹配到，因此会执行默认的放行策略。

但是，仅有策略规则还不能保证社区的安全，保安还应该知道采用什么样的动作来处理这些匹配的流量，比如“允许”、“拒绝”、“登记”、“不理它”。

这些动作对应到iptables服务的术语中分别是ACCEPT(允许流量通过)、REJECT(拒绝流量通过)、LOG(记录日志信息)、DROP (拒绝流量通过)。

“允许流量通过”和“记录日志信息”都比较好理解，这里需要着重讲解的是REJECT和DROP的不同点。

就DROP来说，它是直接将流量丢弃而且不响应;

REJECT则会在拒绝流量后再回复条“您的信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。

iptables是一款基于命令行的防火墙策略工具，具有大量参数，学习难度大。

不过大家无须深入了解众多的理论概念，只需要掌握常用的参数并做到灵活搭配就好。

iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功。iptables就会根据策略规则所预设的动作来处理这些流量。另外，防火墙策略规则的匹配顺序是从上至下的，因此要把控严格，优先级越高的策略规则放在前面，以免发生错误。

以下是iptables的参数，无须死记硬背，慢慢使用理解

参数	作用
-P	设置默认策略
-F	清空规则链
-L	查看规则链
-A	在规则链的末尾加入新规则
-I num	在规则链的头部加入新规则
-D num	删除某一条规则
-s	匹配来源地址IP/MASK，加叹号“！”表示除这个IP外
-d	匹配目标地址
-i 网卡名称	匹配从这块网卡流入的数据
-o 网卡名称	匹配从这块网卡流出的数据
-p	匹配协议
--dport num	匹配目标端口号
--sport num	匹配来源端口号

在iptables命令后加 -L 参数查看已有的防火墙规则链

在iptables命令后加 -F 参数清空已有的防火墙规则链

把INPUT规则链的默认策略设置为拒绝

把INPUT规则链改为默认策略设置

前面提到，防火墙策略规则的设置有两种：通和堵

当把INPUT链设置为默认拒绝后，就要在防火墙策略中写入允许策略了，否则所有到来的流量都会被拒接掉。另外。需要注意的是，规则链的默认拒绝动作只能是DROP，而不是REJECT

向INPUT链中添加ICMP流量进入的策略规则：

在日常运维工作中，经常会使用ping命令来检查对方主机是否在线，而向防火墙的INPUT规则链中添加一条允许ICMP流量进入的策略规则就默认允许了这种ping命令检测行为：

删除INPUT规则链中刚刚加入的那条策略（允许ICMP流量），并把默认策略设置为允许：

将INPUT规则链设置为只允许指定网段的主机访问本机的22端口，拒绝来自其他所有主机的流量

再次重申，防火墙策略规则是按照从上到下的顺序匹配的，因此一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉，从而导致任何主机都无法访问我们的服务。

另外，这里提到的22号端口是ssh服务使用的（有关ssh服务，后续会介绍）

在设置完上述INPUT规则链之后，我们使用192.168.203.0/24网段内主机访问服务器的22端口，效果如下

然后，我们再使用ip地址在192.168.20.0/24，网段内的主机访问服务器的22端口，效果如下

向INPUT规则链中添加拒绝所有人访问本机12345端口的策略规则：

向INPUT规则链中添加拒绝192.168.203.100主机访问本机的80端口（Web服务）的策略：

向INPUT规则链中添加拒绝所有主机访问本机1000-1024端口的规则:

使用iptables命令配置的防火墙规则默认会在下次重启时失效，如果想让配置的防火墙策略永久生效，还需要执行保存命令：

firewalld

RHEL7系统中集成了多款防火墙管理工具，其中firewalld服务是默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。

相较于传统的防火墙管理配置工具，firewalld支持动态更新技术并加入了区域（zone）的概念。

简单来说，区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的加速切换。

例如，有台笔记本电脑，每天都要在办公室，咖啡厅和家里使用，按照常理来说，这三者的安全性由高到低的顺序排序，应该是家庭，公司办公室，咖啡厅。当前，我们希望为这台笔记本指定如下防火墙策略规则：

在家中允许访问所有服务；

在办公室仅允许访问文件共享服务；

在咖啡厅仅允许上网浏览。

在以往，我们需要频繁地手动设置防火墙策略规则，而现在只需要预设好区域集合，然后只需轻点鼠标可以自动切换了，从而极大地提升了防火墙策略的应用效率。

firewalld中常见的区域名称（默认为public）以及相应的策略规则

如图

区域	默认策略规则
trusted	允许所有的数据包
home	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、dhcpv6-client、amba-client服务相关，则允许流量
internal	等同于home区域
work	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client、dhcpv6-client服务相关，则允许流量
public	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、ipp-client服务相关，则允许流量
external	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
dmz	拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量
block	拒绝流入的流量，除非与流出的流量相关
drop	拒绝流入的流量，除非与流出的流量相关

终端管理工具

firewall-cmd是firewalld防火墙配置管理工具的CLI（命令行界面）版本。它的参数一般都是以长格式来提供的。（Tab自动补齐）

参数	作用
--get-default-zone	查询默认的区域名称
--get-default-zone=<区域名称>	设置默认的区域，使其永久生效
--get-zones	显示可用的区域
--get-services	显示预先定义的服务
--get-active-zones	显示当前正在使用的区域与网卡名称
--add-source=	将源自此IP或子网的流量导向指定的区域
--remove-source=	不再将源自此IP或子网的流量导向某个指定区域
--add-interface=<网卡名称>	将源自该网卡的所有流量都导向某个指定区域
--change-interface=<网卡名称>	将某个网卡与区域进行关联
--list-all	显示当前区域的网卡配置参数，资源，端口以及服务等信息
--list-all-zones	显示所有区域的网卡配置参数，资源、端口以及服务等信息
--add-service=<服务名>	设置默认区域允许该服务的流量
--add-port=<端口号/协议>	设置默认区域允许该端口的流量
--remove-service=<服务名>	设置默认区域不再允许该服务的流量
--remove-port=<端口号/协议>	设置默认区域不再允许该端口的流量
--reload	让“永久生效”的配置立即生效，并覆盖当前的配置规则
--panic-on	开启应急状况模式
--panic-off	关闭应急状况模式

与Linux系统中其他的防火墙策略配置一样，使用firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配置策略一直存在，就需要使用永久模式了。方法就是在用firewall-cmd命令正常设置防火墙策略时添加 --permanent 参数，这样配置的防火墙策略就可永久生效了。但是。永久生效有一个特点，就是使用它设置的策略只有在系统重启之后才能生效。如果想让配置的策略立即生效，需要手动执行firewall-cmd --reload命令。

查看firewalld服务当前所使用的区域